A ferramenta Dcgpofix não restaura as definições de segurança na política predefinida de controlador de domínio para o estado original

A documentação para a ferramenta de Dcgpofix.exe indica incorrectamente que a ferramenta Dcgpofix irá restaurar definições de segurança na política predefinida de controlador de domínio o mesmo estado que se encontravam imediatamente após Dcpromo concluído com êxito. Não for este o caso.

É aconselhável utilizar a ferramenta Dcgpofix apenas em cenários de recuperação de desastres. A operação Dcpromo modifica a segurança do domínio de uma forma incremental, com base nas definições de segurança existentes nesse servidor. Por conseguinte, depois de executar Dcpromo, o conjunto final de definições de segurança na política predefinida de controlador de domínio depende a operação Dcpromo e o estado de segurança do sistema que existiam antes de executar Dcpromo. Antes de executar Dcpromo, o estado de segurança do sistema pode ser modificado por um número de mecanismos. Por exemplo, quando instala algumas aplicações de servidor, podem ser efectuadas alterações direitos de utilizador que são concedidos a contas de utilizador local, tais como a conta SUPPORT_388945a0.

A ferramenta Dcgpofix não é possível saber o estado de segurança definições existiam no antes de executar Dcpromo. Por conseguinte, a ferramenta Dcgpofix não pode devolver as definições de segurança com precisão ao estado original. Em vez disso, a ferramenta Dcgpofix recria os objectos da dois predefinição política de grupo (GPO, Group Policy Objects) e cria as definições baseadas em operações que são executadas apenas durante Dcpromo.

Se tiver uma nova instalação do Microsoft Windows Server 2003 e não segurança são efectuadas alterações ao sistema operativo antes de executar Dcpromo, o recriar Default Domain Controller Policy criado por Dcgpofix será praticamente o mesmo que a política predefinida de controlador de domínio apenas depois de executar Dcpromo. No entanto, haverá algumas diferenças nas definições de política predefinida de controlador de domínio neste caso.

Para cópia de segurança geral e de restauro da política predefinida de domínio e política predefinida de controlador de domínio e também para outros GPOs, a Microsoft recomenda que utilize a GPMC (Group Policy Management Console) para criar cópias de segurança regulares destes GPOs. Pode, em seguida, utilizar a GPMC em conjunto com estas cópias de segurança para restaurar as definições de segurança exacta contidos nestes GPOs.

Para obter mais informações sobre a GPMC, visite o seguinte Web site da Microsoft: Se estiver num cenário de recuperação de desastres e não tem quaisquer versões de cópia de segurança de política de domínio predefinida ou política predefinida de controlador de domínio, talvez seja melhor utilizar a ferramenta Dcgpofix. Se utilizar a ferramenta de Dcgpofix, a Microsoft recomenda que assim executá-lo, reveja as definições de segurança estes GPOs e ajustar manualmente as definições de segurança de acordo com os requisitos. Uma correcção não está agendada para ser libertado porque a Microsoft recomenda que utilize a GPMC para cópia de segurança e restaurar todos os GPOs no seu ambiente. A ferramenta de Dcgpofix é uma ferramenta de recuperação de desastres que irá restaurar o ambiente para um estado funcional. É melhor não utilizá-la como uma substituição para uma estratégia de cópia de segurança utilizando a GPMC. É melhor utilizar a ferramenta Dcgpofix apenas quando um GPO para a política predefinida de domínio e a política predefinida de controlador de domínio não existe.

A tabela seguinte lista diferenças nas definições de segurança na política predefinida de controlador de domínio depois de executar a ferramenta Dcgpofix e as definições numa nova instalação do Windows Server 2003 depois de executar Dcpromo. A Microsoft recomenda que ajustar estas definições de segurança para corresponderem aos requisitos do seu ambiente depois de executar a ferramenta Dcgpofix.



As seguintes definições irão alterar depois de executar a ferramenta Dcgpofix:

• AuditAccountManage
• AuditDSAccess
• AuditPolicyChange
• AuditSystemEvents
• SeCreateGlobalPrivilege
• SeImpersonatePrivilege
• SeLoadDriverPrivilege
• SeShutdownPrivilege

Com base nas opções de configuração, as definições seguintes: podem também alterar o seguinte:

• SeBatchLogonRight (apenas LOCAL SERVICE, não a conta SUPPORT_388945a0)
• SeServiceLogonRight